玛雅软件用户请注意 “普天同庆”病毒将于三日后发作

火绒安全实验室

【快讯】近日，火绒安全团队发现一款名为“普天同庆”的感染型病毒，正在玛雅软件用户群中快速传播。该病毒可感染玛雅软件的脚本文件，导致通过玛雅制作的场景源文件也会携带该病毒，并传播给其它用户。分析样本时我们发现一条重要信息：该病毒将在6月27日（含）后统一发作，令用户打开玛雅源文件时，出现“卡死”现象，严重影响用户工作内容和进程。不仅如此，源文件 “卡死“后，还将占用大量的CPU，导致电脑运行变卡。
截至目前，该病毒还处在潜伏期，无任何明显攻击和破坏行为，用户也难以察觉其存在。对此，火绒紧急推出针对该病毒的“专杀工具”，建议玛雅软件用户，尽快前往下载火绒的“专杀工具”（下载地址）进行查杀，排除风险，避免损失。火绒专杀可帮助用户清除病毒的同时，还能修复被病毒感染的玛雅源文件。后续，火绒反病毒引擎也会跟进对该病毒的清除。

作为一款知名的三维建模和动画软件，玛雅有着广泛的用户群，我们也在此提醒大家，切勿轻易接收、运行陌生人发送的玛雅场景源文件，以免遭遇该感染型病毒。


附：【分析报告】
一、        详细分析
近期，“普天同庆”感染型病毒在玛雅软件用户计算机中快速传播。现阶段，该病毒尚处于潜伏期，所以难于被用户察觉。但在2020年6月27日（包括27日）后，用户打开任意被感染的玛雅场景源文件时（.ma和.mb文件），都会出现“卡死”现象（陷入死循环）。
该病毒通过被感染的玛雅场景源文件进行传播，在被感染的源文件运行后，用户计算机中【玛雅软件安装目录】/resources/l10n/>/plug-ins/animImportExport.pres.mel （’>’代表任意同级目录名）和X:\Users\【用户名】\Documents\maya\scripts\userSetup.mel（X:代表任意盘符）脚本均会被病毒代码感染。由于在用户打开任意源文件时，玛雅都会尝试加载上述脚本，所以在用户打开任意玛雅场景源文件（.ma和.mb文件）时，被打开的玛雅场景源文件均会被病毒代码感染。在用户将玛雅源文件拷贝给其他用户时，则会进一步造成横向传播。
病毒感染玛雅脚本代码相关代码，如下图所示：

感染代码

感染userSetup.mel文件

感染animImportExport.pres.mel文件
感染玛雅场景源文件相关代码，如下图所示：

感染玛雅场景源文件
检测当前日期是否为2020年6月27日，如果到达触发时间则会使玛雅软件进程陷入死循环。相关代码，如下图所示：

检测日期并判断是否陷入死循环

二、        附录
病毒hash

火绒安全实验室

无名先森。 发表于 2020-6-23 21:54
完了，点开“开始扫描”就没有了，进度条也没有，啥也没有，变成黑的了

目前就是这样的……紧急赶出来的，没做交互。明天会更新一下。

森林游狼

最近病毒名字是越来越奇葩了，之前还有个麻辣香锅

夹竹桃

前排
火绒牛逼！！（5

飞飞小飞侠

火绒牛逼！！！

龍龖龘

前排，先扫一下~感谢

为了明天666

火绒安全nb，不过我没下玛雅。

1039468583

这名字我笑了哈哈哈

Tangjoke

大神牛逼

KYEICK

前排，已经开始扫了，没有进度条就有点烦额

小绵羊

赶紧下个火绒压压惊